PHP2Shell: la falla de PHP que pone en riesgo a millones de sitios. Esto es lo que tienes que hacer hoy

Qué es PHP2Shell, en palabras simples

PHP2Shell es el nombre que la industria le dio a dos fallas críticas descubiertas en el corazón de PHP, el lenguaje con el que funcionan WordPress, WooCommerce, Laravel, Magento, PrestaShop, Moodle y una enorme cantidad de sistemas a la medida. No es un plugin vulnerable ni una mala configuración de un sitio en particular: es el intérprete mismo.

Ambas fallas permiten la ejecución remota de código (RCE) sin necesidad de usuario ni contraseña. En la práctica, un atacante que logra explotarlas puede ejecutar instrucciones en tu servidor como si fuera el propio sitio: leer la base de datos, robar credenciales, instalar puertas traseras o usar tu servidor para enviar spam o atacar a terceros.

No es un plugin. Es PHP. Si tu sitio corre en PHP y no se ha actualizado desde el 21 de octubre, trátalo como vulnerable.

Los dos fallos: CVE-2026-109618 y CVE-2026-109619

El equipo de seguridad de PHP publicó el 21 de octubre de 2026 parches de emergencia para dos vulnerabilidades con calificación CVSS de 9.2, el rango crítico. Ese mismo día, investigadores independientes confirmaron que eran reales y poco después se detectaron intentos de explotación en internet.

Qué versiones de PHP están afectadas

La regla de oro del aviso oficial: cualquier versión de PHP sin parchear debe considerarse afectada. Estas son las versiones mínimas seguras por rama:

A quién afecta realmente

PHP identifica como expuesta cualquier instalación que atienda peticiones web. Eso incluye las formas más comunes de servir un sitio:

• PHP-FPM con Nginx o Apache (la configuración más habitual en VPS y servidores dedicados).
• Apache con mod_php.
• php-cgi, FrankenPHP y LiteSpeed.
• Hosting compartido y servidores con cPanel/WHM, Plesk o CyberPanel.
• Contenedores Docker con imágenes oficiales o propias de PHP.
• Sistemas internos y paneles administrativos aunque “nadie los conozca”: si tienen una URL pública, son alcanzables.

Si no sabes en qué versión de PHP corre tu sitio, ese es el primer problema que hay que resolver.

Cómo saber si tu sitio está expuesto

No basta con revisar la versión de PHP en la terminal: el comando php -v muestra el binario de línea de comandos, que puede ser distinto del PHP-FPM o del módulo de Apache que realmente sirve tu sitio. La revisión correcta tiene tres partes:

1. 01Identifica la versión que sirve la web, no solo la de la terminal: desde el panel de tu hosting, desde el administrador de paquetes o con una página de diagnóstico privada que se elimina al terminar.
2. 02En servidores Linux, confirma que el paquete instalado ya incluye la corrección revisando el changelog del paquete de PHP en busca de los dos CVE.
3. 03Verifica que ningún proceso siga ejecutando la versión anterior: pools de PHP-FPM, Apache y workers de colas o tareas programadas.

Cómo parchear PHP2Shell paso a paso

El propio aviso de PHP lo dice sin rodeos: no hay mitigaciones completas, actualizar es la única opción segura. Bloquear IPs o poner un firewall delante ayuda a reducir ruido, pero no corrige la falla.

1. 01Prioriza: primero los servidores expuestos a internet, después los internos.
2. 02Respalda: copia de archivos, base de datos y configuración antes de tocar nada.
3. 03Actualiza PHP con los paquetes de tu distribución. En Debian y Ubuntu, con apt; en AlmaLinux, Rocky o RHEL, con dnf. Las distribuciones recibieron los parches por adelantado.
4. 04Reinicia todo lo que ejecuta PHP: PHP-FPM, Apache, LiteSpeed y cualquier worker persistente. Sin reinicio, el proceso viejo sigue en memoria y sigue vulnerable.
5. 05En contenedores, reconstruye la imagen con la versión corregida y vuelve a desplegar. Parchear un contenedor en ejecución deja la imagen expuesta para el siguiente despliegue.
6. 06En hosting compartido o gestionado, confirma por escrito con tu proveedor que ya aplicó el parche y revisa la versión en tu panel.
7. 07Mantén desactivada la función heredada de progreso de carga de sesiones (session.upload_progress.enabled en 0): es poco usada y es una vía confirmada hacia uno de los fallos.
8. 08Prueba el sitio completo: formularios, pagos, carritos, áreas privadas y tareas programadas.